Un commerce de six salariés doit-il tenir un registre RGPD ?
Registre, base légale, durées, information : ce que le RGPD exige vraiment d'un commerce de moins de 250 salariés, et ce qu'il n'exige pas.
- Le registre des traitements est prévu par l'article 30 du RGPD. La dérogation de l'article 30.5 pour les entreprises de moins de 250 salariés tombe dès qu'un traitement n'est pas occasionnel : la paie et le fichier clients suffisent à la neutraliser.
- Une violation de données se notifie à la CNIL dans les meilleurs délais et si possible sous 72 heures (article 33 du RGPD) ; les personnes concernées doivent être informées en cas de risque élevé (article 34). Toute violation, même non notifiée, doit être documentée en interne.
- Les plafonds de sanction sont de 10 M€ ou 2 % du chiffre d'affaires mondial pour le registre et la sécurité (article 83.4), 20 M€ ou 4 % pour les bases légales et les droits des personnes (article 83.5) ; la procédure simplifiée de la CNIL est plafonnée à 20 000 €.
- Certaines durées sont légales : 10 ans pour les pièces comptables (article L.123-22 du Code de commerce), 5 ans pour le double des bulletins de paie (article L.3243-4 du Code du travail). D'autres, comme les 3 ans après le dernier contact pour un prospect, relèvent d'une recommandation de la CNIL, pas d'un texte.
Le RGPD s'applique-t-il vraiment à une boutique de quatre personnes ?
Le règlement (UE) 2016/679, dit RGPD, applicable depuis le 25 mai 2018, ne comporte aucun seuil d'effectif ni de chiffre d'affaires conditionnant son application. Dès qu'un commerçant, un artisan ou un cabinet libéral traite des données relatives à des personnes physiques — clients, prospects, salariés, candidats, contacts chez les fournisseurs — il est responsable de traitement et assume les obligations correspondantes.
L'effectif n'intervient en réalité que sur deux points : une dérogation étroite au registre des traitements, et l'obligation de désigner un délégué à la protection des données. Tout le reste vaut pour une boutique de quatre personnes comme pour un groupe coté.
Ce n'est pas la taille de l'entreprise qui déclenche les obligations, c'est la nature des traitements qu'elle met en œuvre.
| Obligation | Fondement | Un commerce ou cabinet de moins de 250 salariés ? |
|---|---|---|
| Tenir un registre des traitements | Art. 30 RGPD | Oui en pratique : la dérogation de l'art. 30.5 est presque toujours inopérante |
| Désigner un délégué à la protection des données (DPO) | Art. 37 RGPD | Non, sauf suivi systématique à grande échelle ou traitement à grande échelle de données sensibles |
| Réaliser une analyse d'impact (AIPD) | Art. 35 RGPD | Seulement si le traitement présente un risque élevé ou figure sur la liste publiée par la CNIL |
| Informer les personnes concernées | Art. 12, 13 et 14 RGPD | Oui, sans exception |
| Répondre aux demandes d'accès, de rectification, d'effacement | Art. 15 à 22 RGPD, délai d'un mois (art. 12.3) | Oui |
| Notifier les violations de données | Art. 33 et 34 RGPD | Oui |
| Contrat écrit avec chaque sous-traitant | Art. 28.3 RGPD | Oui : logiciel de caisse, hébergeur, cabinet de paie, prestataire de sauvegarde |
| Sécuriser les données | Art. 32 RGPD | Oui, à un niveau proportionné au risque |
Registre des traitements : ce que la dérogation « moins de 250 salariés » ne couvre pas
L'article 30.5 du RGPD dispense les organisations de moins de 250 employés de tenir le registre — sauf dans trois hypothèses, alternatives et non cumulatives : le traitement est susceptible de comporter un risque pour les droits et libertés des personnes, il n'est pas occasionnel, ou il porte sur des données sensibles au sens de l'article 9.1 (santé, opinions, biométrie…) ou sur des données relatives à des condamnations pénales.
Or la gestion de la paie, le fichier clients, la comptabilité ou un système de vidéoprotection sont par nature des traitements permanents, donc non occasionnels. La conclusion pratique est nette : presque tous les commerces et cabinets doivent tenir un registre, au moins pour leurs traitements réguliers.
Le RGPD n'impose aucun format. Un tableur daté et mis à jour suffit, dès lors qu'il comporte les mentions de l'article 30.1 : identité et coordonnées du responsable, finalités, catégories de personnes et de données, catégories de destinataires, transferts hors Union européenne, durées de conservation prévues et, dans la mesure du possible, description des mesures de sécurité.
| Traitement | Personnes concernées | Données principales | Destinataire externe typique | Durée prévue |
|---|---|---|---|---|
| Gestion des ventes et facturation | Clients | Identité, coordonnées, historique d'achat | Éditeur du logiciel de caisse, expert-comptable | Relation commerciale, puis archivage comptable |
| Fidélité et prospection | Clients, prospects | Coordonnées, préférences, consentements | Outil d'envoi d'e-mails | 3 ans après le dernier contact |
| Paie et administration du personnel | Salariés | État civil, NIR, rémunération, absences | Cabinet de paie, organismes sociaux | Selon les textes sociaux et fiscaux |
| Vidéoprotection | Clients, salariés, passants | Images | Installateur, forces de l'ordre sur réquisition | Durée fixée par l'autorisation, quelques jours en pratique |
| Recrutement | Candidats | CV, lettres, comptes rendus d'entretien | Site d'annonces | 2 ans après le dernier contact |
Choisir la bonne base légale, sans confondre consentement et contrat
Chaque traitement doit reposer sur l'une des six bases légales de l'article 6.1 du RGPD. L'erreur la plus fréquente en commerce de détail consiste à demander un consentement là où le traitement repose déjà sur l'exécution du contrat ou sur une obligation légale : le consentement devient alors fictif, puisqu'un refus n'empêcherait pas le traitement.
Autre point souvent mal traité, la prospection par e-mail. L'article L.34-5 du Code des postes et des communications électroniques impose un consentement préalable pour la prospection par voie électronique adressée à des personnes physiques, avec une exception lorsque les coordonnées ont été recueillies directement auprès de la personne à l'occasion d'une vente et que la prospection porte sur des produits ou services analogues, l'opposition restant toujours possible. En B2B, la CNIL admet que le démarchage d'un professionnel sur son adresse professionnelle, en lien avec sa fonction, repose sur l'information préalable et le droit d'opposition.
| Traitement | Base légale usuelle | Erreur fréquente |
|---|---|---|
| Commande, livraison, facturation | Exécution du contrat (art. 6.1.b) | Demander un consentement que l'on ne pourrait pas respecter |
| Conservation des pièces comptables | Obligation légale (art. 6.1.c) | Prétendre effacer sur demande des données que la loi impose de garder |
| Newsletter vers un particulier non client | Consentement (art. 6.1.a) | Case pré-cochée ou consentement groupé avec les CGV |
| Prospection d'un professionnel sur son e-mail pro | Intérêt légitime (art. 6.1.f) | Omettre le lien de désinscription et la mention d'opposition |
| Vidéoprotection du point de vente | Intérêt légitime (art. 6.1.f) | Orienter une caméra sur un poste de travail en permanence |
| Programme de fidélité avec segmentation | Consentement (art. 6.1.a) | Réutiliser les données d'achat pour du profilage non annoncé |
Durées de conservation : distinguer le délai légal de la recommandation
Le principe de limitation de la conservation figure à l'article 5.1.e du RGPD : les données ne sont conservées que le temps nécessaire aux finalités poursuivies. Ce principe ne fixe aucun chiffre. Les durées viennent donc de trois sources très différentes, qu'il faut identifier dans le registre : un texte, une recommandation de la CNIL, ou un choix documenté par l'entreprise.
Cette distinction est utile en cas de contrôle : un délai issu d'une recommandation peut être ajusté s'il est motivé, un délai légal ne se négocie pas.
| Donnée | Durée usuelle | Source |
|---|---|---|
| Factures et pièces justificatives comptables | 10 ans | Obligation légale (art. L.123-22 du Code de commerce) |
| Double des bulletins de paie | 5 ans | Obligation légale (art. L.3243-4 du Code du travail) |
| Mentions du registre unique du personnel | 5 ans après le départ du salarié | Obligation légale (art. R.1221-26 du Code du travail) |
| Candidature non retenue | 2 ans après le dernier contact | Recommandation CNIL |
| Prospect n'ayant pas acheté | 3 ans après le dernier contact | Recommandation CNIL |
| Images de vidéoprotection | Un mois au maximum, souvent quelques jours | Autorisation préfectorale (Code de la sécurité intérieure) et doctrine CNIL |
| Traceurs et cookies non essentiels | 13 mois de durée de vie, consentement resollicité après 6 mois | Recommandation CNIL (consentement fondé sur l'art. 82 de la loi Informatique et Libertés) |
| Dossier client après la fin de la relation | Durée de la relation, puis délai de prescription utile (5 ans, art. 2224 du Code civil) | Choix documenté par l'entreprise |
Informer clients et salariés : où, quand, avec quoi
L'information est l'obligation la plus visible en cas de contrôle, parce qu'elle est vérifiable de l'extérieur. Les articles 13 et 14 du RGPD énumèrent son contenu : identité et coordonnées du responsable, finalités et base légale de chaque traitement, destinataires, transferts hors UE, durées de conservation, droits des personnes et modalités pour les exercer, droit d'introduire une réclamation auprès de la CNIL. L'article 12 exige une formulation concise, transparente, compréhensible et aisément accessible.
- Site web et formulaires : une politique de confidentialité à jour, plus une mention courte sous chaque formulaire renvoyant vers elle.
- Point de vente : un panneau d'information visible à l'entrée pour la vidéoprotection, avant la zone filmée, indiquant le responsable et la manière d'exercer ses droits ; le Code de la sécurité intérieure impose une information claire et permanente du public.
- Salariés : une note d'information sur les traitements RH, la messagerie, la géolocalisation éventuelle. Lorsqu'il existe un CSE, celui-ci doit être informé et consulté avant la mise en place de moyens permettant un contrôle de l'activité des salariés (Code du travail).
- Demandes de droits : la réponse est gratuite et intervient dans un délai d'un mois à compter de la réception, prolongeable de deux mois pour les demandes complexes, la personne devant être prévenue de la prolongation (art. 12.3).
Bonne pratique, non imposée par un texte : consigner dans un simple tableau la date de chaque demande reçue, la réponse apportée et sa date d'envoi. C'est la preuve la plus simple à produire.
Cas pratique chiffré : un magasin d'optique de six salariés
Un magasin d'optique indépendant, six salariés, gère 4 800 fiches clients contenant des ordonnances : ce sont des données de santé relevant de l'article 9.1 du RGPD. La dérogation au registre est donc exclue d'emblée, et l'obligation de sécurité de l'article 32 s'apprécie plus strictement. Si les dossiers sont hébergés chez un prestataire, celui-ci doit être certifié pour l'hébergement de données de santé (Code de la santé publique, art. L.1111-8).
Un rançongiciel chiffre le serveur du magasin un mardi matin. La sauvegarde, stockée sur le même boîtier réseau, est chiffrée elle aussi. Le magasin fonctionne en mode dégradé pendant neuf jours.
| Poste | Montant estimé | Commentaire |
|---|---|---|
| Intervention du prestataire informatique, remise en état | 6 200 € | Diagnostic, reconstruction du serveur, réinstallation du logiciel métier |
| Reconstitution des dossiers clients | 3 400 € | Ressaisie à partir des archives papier et des doubles d'ordonnances |
| Perte de marge sur neuf jours | 11 000 € | Ventes reportées ou perdues, rendez-vous annulés |
| Information des 4 800 clients (art. 34) | 1 900 € | Courriers et e-mails, ligne téléphonique dédiée |
| Total | 22 500 € | Hors sanction éventuelle |
Côté formalités : notification à la CNIL dans les meilleurs délais et si possible sous 72 heures (art. 33), information des personnes concernées puisque des données de santé sont en jeu (art. 34), et inscription de l'événement au registre interne des violations, obligatoire même lorsque la notification ne l'est pas. Les chiffres ci-dessus sont une illustration : ils dépendent entièrement de la taille du fichier, du chiffre d'affaires et de la qualité des sauvegardes. Sur les particularités du point de vente, voir notre page assurance magasin.
Ce que l'assurance couvre — et ce qu'elle exige de vous
Il faut séparer trois choses : ce que la loi impose, ce que le contrat garantit, et ce que l'assureur exige en contrepartie. Une multirisque professionnelle est d'abord conçue pour les dommages matériels et la responsabilité civile d'exploitation. Une violation de données sans dommage matériel relève d'un autre terrain, celui de la garantie cyber. Le tableau ci-dessous décrit des tendances de marché, jamais un engagement : seules vos conditions particulières font foi.
| Poste | Multirisque professionnelle « classique » | Garantie ou contrat cyber |
|---|---|---|
| Serveur détruit par un incendie, un dégât d'eau ou un vol | Généralement garanti au titre des biens | Sans objet |
| Reconstitution de fichiers après un dommage matériel garanti | Parfois, en sous-limite | Souvent prévue |
| Chiffrement malveillant sans dommage matériel | En principe hors champ | Cœur de la garantie |
| Perte d'exploitation consécutive à un incident informatique | Seulement si une extension le prévoit | Selon les options souscrites |
| Frais de notification et d'information des personnes | Rarement | Fréquemment proposés |
| Amende prononcée par la CNIL | Habituellement exclue | Souvent exclue ; l'assurabilité des sanctions administratives est discutée en droit français |
| Frais de défense devant l'autorité de contrôle | Variable | Souvent inclus, dans une limite contractuelle |
Ce que l'assureur exige, lui. Aux termes de l'article L.113-2 du Code des assurances, vous devez répondre exactement aux questions posées lors de la souscription et déclarer les circonstances nouvelles qui aggravent le risque. Une fausse déclaration intentionnelle expose à la nullité du contrat (art. L.113-8) ; une inexactitude non intentionnelle peut entraîner une réduction proportionnelle de l'indemnité (art. L.113-9). Le sinistre se déclare dans le délai prévu au contrat, qui ne peut être inférieur à cinq jours ouvrés, réduit à deux jours ouvrés en cas de vol. Toute action dérivant du contrat se prescrit par deux ans (art. L.114-1).
S'y ajoutent des exigences purement contractuelles, fréquentes en cyber : sauvegardes déconnectées et testées, authentification renforcée sur les accès distants, mises à jour appliquées. Ce ne sont pas des obligations légales, mais leur non-respect peut être opposé au moment du sinistre. Enfin, en B2B, la résiliation suit l'article L.113-12 : à l'échéance annuelle, avec un préavis de deux mois. Le droit de rétractation de quatorze jours et la résiliation infra-annuelle réservés aux particuliers ne s'appliquent pas. L'article L.113-16 permet en revanche de résilier en cours d'année en cas de changement de situation — cessation d'activité, changement de profession notamment — la demande devant être formée dans les trois mois de l'événement, la résiliation prenant effet un mois après sa notification.
Questions fréquentes
Oui, en pratique. L'article 30.5 du RGPD dispense les organisations de moins de 250 employés, mais cette dispense tombe dès qu'un traitement n'est pas occasionnel, présente un risque pour les personnes, ou porte sur des données sensibles. La paie et le fichier clients étant des traitements permanents, la dérogation ne joue quasiment jamais. Aucun format n'est imposé : un tableur daté, mis à jour et comportant les mentions de l'article 30.1 (finalités, catégories de données et de personnes, destinataires, transferts, durées, mesures de sécurité) répond à l'obligation. La CNIL met à disposition un modèle gratuit.
Documentez d'abord l'incident : date de découverte, nature des données touchées, nombre de personnes concernées, mesures prises. Si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes, notifiez-la à la CNIL dans les meilleurs délais et si possible dans les 72 heures suivant la prise de connaissance (article 33 du RGPD) ; une notification en deux temps est admise si tout n'est pas connu. Si le risque est élevé — données bancaires, données de santé —, informez également les personnes concernées (article 34). Même non notifiée, toute violation doit figurer dans votre registre interne des violations. Prévenez en parallèle votre assureur dans le délai prévu au contrat.
C'est possible dans un cadre précis. L'article L.34-5 du Code des postes et des communications électroniques admet la prospection par e-mail sans consentement préalable lorsque les coordonnées ont été recueillies directement auprès de la personne à l'occasion d'une vente ou d'une prestation, et que le message porte sur des produits ou services analogues. La personne doit être informée au moment de la collecte et pouvoir s'opposer de façon simple et gratuite, dans chaque envoi. En revanche, pour un particulier qui n'a jamais rien acheté, le consentement préalable est nécessaire. Vis-à-vis d'un professionnel démarché sur son adresse professionnelle pour un sujet lié à sa fonction, la CNIL admet l'information préalable assortie du droit d'opposition.
La durée est fixée par l'autorisation préfectorale délivrée au titre du Code de la sécurité intérieure pour les dispositifs filmant un lieu ouvert au public ; elle ne dépasse pas un mois, et la CNIL considère que quelques jours suffisent le plus souvent à l'objectif de sécurité. Trois autres points sont régulièrement relevés en contrôle : l'information du public par un panneau visible avant la zone filmée, l'interdiction de placer un salarié sous surveillance permanente à son poste, et la limitation des accès aux enregistrements à un nombre restreint de personnes identifiées. Lorsqu'il existe un CSE, il doit être informé et consulté avant l'installation.
Le plus souvent non. Les amendes et sanctions administratives sont habituellement exclues des contrats, et l'assurabilité des sanctions à caractère punitif est discutée en droit français. Il faut distinguer trois postes : l'amende elle-même, généralement à votre charge ; les frais de défense devant l'autorité de contrôle, souvent pris en charge dans une limite contractuelle par une garantie cyber ou de protection juridique ; les frais de gestion de l'incident (expertise technique, notification, information des clients), qui constituent le cœur des offres cyber. Vérifiez le libellé exact de vos conditions particulières et de vos exclusions avant tout incident, et non après.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections, devis immédiat — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies.
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.